feat(permissions): C-4a — API конструктора ролей (/api/roles, admin)

rolesController + routes/roles (admin, inline guards): GET список (с числом
пользователей), POST создать кастомную роль (имя-идентификатор + метка + base_roles;
засев прав из функциональной базы), PUT изменить, DELETE удалить (пользователей
возвращает на базу), GET /:name/permissions (эффективная карта база+оверлей + defs).
setPermission теперь принимает кастомные роли (ключ валидируется по базе, хранится
под именем роли). Смонтировано в server.js + тест-харнесс. Тест roles-api 5/5.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/server.js

@@ -163,6 +163,7 @@ app.use('/api/files',         fileRoutes);
 app.use('/api/tests',         testRoutes);
 app.use('/api/notifications', notificationRoutes);
 app.use('/api/permissions',  permissionRoutes);
+app.use('/api/roles',        require('./routes/roles'));
 app.use('/api/submissions',  submissionRoutes);
 app.use('/api/courses',       courseRoutes);
 app.use('/api/lessons',       lessonRoutes);